Migrering

Supporten af OIOSAML2 ophører

Følgende ændringer gælder for OIOSAML2 efter 31. marts 2023:

Supporten for OIOSAML2 ophører. Det betyder eksempelvis, at vi ikke længere hjælper med at give adgang til tekniske administratorer, samt at vi ikke hjælper med at hente metadata ud fra eksisterende OIOSAML2 systemer.
Vi vedligeholder ikke længere protokollen. I praksis betyder det, at eventuelle fejl i OIOSAML2 snitfladen ikke rettes.

I kan stadig få hjælp til at migrere jeres tjenester fra OIOSAML2 til OIOSAML3.

Derfor skal I migrere nu

Alle offentlige tjenesteudbydere tilsluttet NemLog-in skal have afsluttet deres migrering fra OIOSAML 2 til OIOSAML 3 senest 30. juni 2022 – uanset om jeres tjenester tilgås af private brugere eller/og erhvervsbrugere.

OIOSAML 3 erstatter OIOSAML 2, som på sigt ikke længere vil blive understøttet.

Se hvilke tjenester, I mangler at migrere

Er du i tvivl om, hvilke tjenester I mangler at migrere til OIOSAML 3, og hvilke tjenester du er registreret som administrator for? Log ind på NemLog-in Administrationen og få et overblik.

Gå til administrationsportalen

I NemLog-in gælder National Standard for Identiteters Sikringsniveauer (NSIS). I skal derfor foretage en NSIS-risikovurdering af jeres tjeneste og implementere brugen af de nye sikringsniveauer.

Læs mere og se infovideo om NSIS

Vær opmærksom på MitID med sikringsniveau "lav"

Hvis I endnu ikke er migreret til OIOSAML 3 snitfladen, skal I være særligt opmærksomme på, at MitID-brugere potentielt kan logge ind på sikringsniveau ”lav” – altså uden brug af to-faktor.

Som tjenesteudbyder er det derfor vigtigt, at man i autentifikationssvaret fra NemLog-in altid kontrollerer ’dk:gov:saml:attribute:AssuranceLevel’ attributtens værdi. Hvis I kontrollerer, at denne har værdien ”3” og ellers ikke tillader log-in, kan brugere ikke logge ind uden to-faktor.

Læs mere om attributten og sikringsniveau "Lav"
Signering med MitID gør det muligt at underskrive et dokument eller en aftale som privatperson med MitID. På et senere tidspunkt bliver det også muligt at underskrive et dokument som erhvervsbruger med MitID eller med et organisationssegl.

Læs mere om signering med MitID

Understøt begge signeringsløsninger
Indtil alle brugere er migreret til MitID, er det vigtigt, at tjenesteudbydere understøtter signering med både NemID og MitID, så både migrerede og ikke-migrerede brugere kan signere.

Kontrollér identitet af underskriver
Når en privat person har underskrevet et dokument, får den pågældende tjenesteudbyder det underskrevne dokument retur. Det er som regel nødvendigt for tjenesteudbyderen at kontrollere identiteten af underskriver.

I signering med NemID foregår kontrollen ved at udtrække brugerens PID fra signeringscertifikatet (POCES) og foretage PID-CPR-match-opslag.

Signering med MitID anvender ikke PID i signeringscertifikater. Det er altså ikke muligt at kontrollere underskrivers identitet vha. PID-opslag.

Der er forskellige måder at identificere den, der har skrevet under med MitID. Hvis I er migreret til OIOSAML 3, kan I anvende SubjectMatchesSigner. Denne metode kræver, at brugeren logger ind hos samme tjenesteudbyder, inden brugeren underskriver et dokument.

Læs mere om SubjectMatchesSigner i dokumentationen til opslagstjenester

Læs om andre muligheder for at identificere underskriveren
Tjenesteudbydere skal teste deres integration til NemLog-in i integrationstestmiljøet, inden tjenesten kan overgå til produktion.

Få mere information om testmiljøer, support og dokumentation

Migrering af FBRS-privilegier
Offentlige tjenesteudbydere, der anvender FBRS-privilegier, skal anvende en særlig proces ved migrering til OIOSAML 3 for at undgå ændringer i eksisterende brugeres rettigheder.

Der er udarbejdet en guide, der beskriver processen for privilegiemigrering. Guiden er en del af OIOSAML 3 dokumentationen (afsnit 6.7), som kan findes via siden for test og dokumentation.

• Find vejledning til migrering af FBRS-privilegier på siden Test og dokumentation

• Læs mere om FBRS (se afsnittet Fælles brugerrettighedsstyring)

Vælg et MitID alias – jeres unikke ID
Alle tjenester skal have et MitID alias. Det er det, som bliver vist til brugerne, når de logger ind med MitID. Det er derfor vigtigt, at jeres MitID alias er unikt og tydeligt beskriver den tjeneste, som brugeren kender og er ved at logge på.

I bør overveje jeres tjenestes MitID alias. Hvis I ikke selv vælger et MitID alias, bliver der automatisk genereret ét, men det er ikke nødvendigvis brugervenligt. I vil altid kunne ændre jeres alias på et senere tidspunkt, men vi anbefaler, at det er på plads fra starten.

Læs, hvordan I vælger et MitID alias
NemLog-in sikrer, at alle brugere kan anvende alle tjenester, som er koblet til NemLog-in – hele tiden. Dette opnår vi ved, at NemID og MitID kører i paralleldrift i en lang overgangsperiode.

NemLog-in sikrer desuden, at en ikke-migreret bruger kan tilgå både en migreret selvbetjeningsløsning og en ikke-migreret selvbetjeningsløsning, og at en migreret bruger kan tilgå både en migreret selvbetjeningsløsning og en ikke-migreret selvbetjeningsløsning.
MitID har udarbejdet en kommunikationspakke med materiale, som tjenesteudbydere kan anvende, når de skal informere deres slutbrugere om overgangen til MitID.

Pakken indeholder blandt andet vigtige budskaber om MitID, logoer og retningslinjer for brug samt prototype til internt brug og link til spørgsmål og svar om MitID.
Læs om MitID retningslinjer for UX/UI og kommunikation